Neuf mois après l’échéance du 9 octobre 2025, qui a rendu la Verification of Payee (VoP) obligatoire pour tous les prestataires de la zone euro, le dispositif est entré dans le quotidien des payeurs : chaque virement SEPA, instantané ou non, déclenche désormais une vérification de concordance entre l’IBAN saisi et le nom du bénéficiaire. Et le calendrier continue de courir : dans un an presque jour pour jour, le 9 juillet 2027, les PSP des États membres hors zone euro devront appliquer à leur tour l’ensemble du règlement sur les paiements instantanés (IPR).
Le dispositif en bref
- Base juridique : règlement (UE) 2024/886 du 13 mars 2024 (Instant Payments Regulation), qui modifie le règlement SEPA.
- Avant d’autoriser le virement, le payeur reçoit l’un des quatre résultats : match, close match (avec le nom réel suggéré), no match ou vérification impossible.
- Le service est gratuit pour le payeur et repose sur le scheme VoP de l’EPC, adossé à un annuaire d’atteignabilité (EDS) pour router les requêtes entre PSP en quelques secondes.
- Les entreprises émettant des remises de fichiers peuvent choisir de s’en dispenser (opt-out), le grand public non.
- Même règlement, autre pilier : les frais d’un virement instantané ne peuvent excéder ceux d’un virement classique.
Ce que disent les chiffres français
La lecture est contrastée. Les défenses techniques fonctionnent : la fraude carte recule de près de 10 % et le paiement mobile affiche un taux de fraude de 0,013 %, divisé par dix depuis 2020. Mais la fraude se déplace vers le maillon humain : l’ingénierie sociale (faux conseiller bancaire, faux fournisseur, arnaque au placement) représente désormais 40 % des montants fraudés, et frappe massivement le virement, là où les tickets sont les plus élevés.
Ce que la VoP arrête... et ce qu’elle n’arrête pas
| Typologie | Mécanisme | Effet de la VoP |
|---|---|---|
| Faux RIB fournisseur | Facture ou RIB modifié, l’IBAN ne correspond pas au créancier | Fort : le no match alerte avant validation |
| Fraude au président | Ordre urgent d’un faux dirigeant vers un compte tiers | Partiel : le nom du bénéficiaire réel peut trahir la manœuvre |
| Spoofing du conseiller bancaire | La victime valide elle-même des opérations sous influence | Faible : la vérification est contournée par la manipulation |
| Arnaque au placement / sentimentale | La victime paie volontairement le bon bénéficiaire... frauduleux | Nul : match parfait sur un compte mule ou étranger |
Le chantier opérationnel côté PSP
- Premier reporting IPR remis aux autorités le 9 avril 2026 : niveaux de frais et parts de virements instantanés, qui donnent aux régulateurs une visibilité inédite sur l’adoption.
- Gestion des close match : calibrer les algorithmes de comparaison de noms (raisons sociales, accents, noms d’usage) pour limiter les frictions sans noyer l’alerte.
- Parcours corporate : les faux positifs sur les libellés d’entreprises restent le principal irritant remonté par les trésoriers.
- Screening quotidien des sanctions : l’IPR a remplacé le filtrage transaction par transaction des virements instantanés par une vérification au moins quotidienne des clients.
Le Royaume-Uni, qui a déployé sa Confirmation of Payee dès 2020, a montré la trajectoire : recul net des détournements de virements, puis déplacement de la fraude vers la manipulation pure, que Londres a fini par traiter en imposant en 2024 un remboursement obligatoire des victimes d’APP fraud. L’Europe suit le même chemin en deux temps : la VoP d’abord, le volet remboursement du spoofing dans le futur RSP ensuite. La technique ferme des portes ; reste à protéger l’humain qui tient la poignée.